境外机构调取境内数据：收到境外法院传票、监管问询、律所取证函怎么办

一句话定义：境外机构调取境内数据，是指外国司法机构、执法机构或者受其委托的主体，要求境内企业提供存储于中华人民共和国境内的数据、文件或者证据材料。应对它的核心不是「数据出境合规」，而是「主权与协助程序」——个人信息保护法第四十一条、数据安全法第三十六条、国际刑事司法协助法第四条、证券法第一百七十七条指向同一个结论：非经我国主管机关批准或者同意，境内主体不得向外国司法、执法机构提供。

本词条属于网络与数据栏目。这类来函有三个共同特征：语气强硬、期限很短、抄送境外总部。收到之后最容易犯的三个错误也正是被这三个特征逼出来的：怕逾期，直接回函；怕得罪客户，先给一部分；怕担责，把决定推给境外总部。三种做法在法律上都站不住，而且都会给企业留下难以解释的书面记录。

构成要件

一、第一步是判主体，不是判内容。 来函主体决定适用哪一套规则，必须先分清三类：外国司法机构（法院、法庭、仲裁机构依法院命令取证）；外国执法或者监管机构（监管问询、调查令、行政传票）；境外商业主体（境外律所、审计师、咨询机构、境外母公司合规部门，以及以「客户尽职调查」名义提出的要求）。前两类走协助程序，第三类走商业出境程序。最容易被误判的是第三类中的「受境外司法机构委托的律所」——形式上是商业主体，实质上是代为取证，应当按前两类处理。

二、向外国司法或者执法机构提供，必须经我国主管机关批准。 个人信息保护法第四十一条规定：非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。数据安全法第三十六条把对象扩展到「数据」：非经批准，境内的组织、个人不得向外国司法或者执法机构提供存储于境内的数据。两条合起来覆盖个人信息与一般数据，没有数量门槛，也没有场景豁免。

三、「证据材料」也在管制范围内，这一层最容易被漏掉。 国际刑事司法协助法第四条第三款写明：非经中华人民共和国主管机关同意，外国机构、组织和个人不得在境内进行本法规定的刑事诉讼活动，境内的机构、组织和个人不得向外国提供证据材料和本法规定的协助。这条的落点是「证据材料」而不是「数据」——一份合同、一份内部邮件、一份会议纪要，即使不含个人信息、不构成重要数据，只要是应外国刑事程序要求提供的证据材料，同样受约束。

四、证券领域的规定更严，而且明确禁止「境内直接取证」。 证券法第一百七十七条第二款两句话：境外证券监督管理机构不得在中华人民共和国境内直接进行调查取证等活动；未经国务院证券监督管理机构和国务院有关主管部门同意，任何单位和个人不得擅自向境外提供与证券业务活动有关的文件和资料。这条的三个特点值得单独记：主体是「任何单位和个人」，不限于数据处理者；对象是「文件和资料」，不限于数据；同意的机关是证监会加国务院有关主管部门，只报一个不够。

五、合法通道有三条，都要走「公对公」。 一是条约通道：我国与多国签订有刑事司法协助条约、民商事司法协助条约，请求方通过中央机关提出，由我方主管机关审查后协助；二是监管合作机制：监管机构之间通过合作备忘录等安排开展跨境监管协作，证券法第一百七十七条第一款为此提供了依据；三是主管机关审批：在具体案件中由主管机关就特定材料的提供作出批准或者同意。三条通道的共同点是：请求从「公」的一端进来，不从企业这一端进来。

六、境外商业主体的要求，走商业出境，但要防「实质代证」。 境外客户、境外律所为了境外诉讼要求企业提供材料，形式上是商业往来，适用个人信息保护法第三十八条、《网络数据安全管理条例》第三十五条的出境规则，以及第三十九条的告知与单独同意。但如果材料清单高度贴合境外诉讼的争点、时间节点紧咬境外程序、函件明示「为某某法院案件之用」，就应当按「向外国司法机构提供」处理，先报主管机关，不要用商业出境程序绕过去。判断标准不是函件抬头，而是材料最终交给谁、用在什么程序里。

七、「存储于境内」是管辖的连接点，不以服务器位置为唯一标准。 条文用的是「存储于中华人民共和国境内的数据」。实务中要按实质判断：数据实际存放在境内机房、境内云服务商，属于境内存储；境内主体控制、可随时调取的数据，即使部分副本在境外，仍应审慎按境内数据对待。反过来，境外主体自己在境外形成、自己持有的数据，通常不属于本条约束的对象——这也是为什么来函常常要求境内主体「配合提供」，而不是直接向境外总部要。

八、境内诉讼中的域外证据是另一套规则，不要混。 涉外民事案件中，当事人自行在境外取得的证据，需要办理相应的证明手续；人民法院需要向境外取证的，通过条约或者外交途径进行。这套规则管的是「法院怎么取证」，不是「企业能不能向外国机构提供」。两者容易混的原因是都涉及跨境，但主体、程序、法律后果完全不同。

九、违法提供与不配合，各有各的后果，不能只算一头。 违法向境外提供数据的，可能同时触发个人信息保护法第六十六条的行政处罚、数据安全法上的责任，情节严重的还可能触及刑事风险；不配合境外程序的，可能在境外诉讼中承担不利后果，甚至面临境外法院的制裁。正确的处理不是二选一，而是通过主管机关把两头接起来：向境外说明「正在依中国法申请批准」，同时向主管机关申请。这个动作本身就是最有力的抗辩材料。

十、「奉命行事」不免责，个人也可能被追责。 实务中常见的情形是境外总部发来指令、境内员工照办。义务主体是「境内的组织、个人」，员工个人同样在条文覆盖范围内；企业内部的分工、总部的指令，都不能对抗法条。这也是为什么合规流程里必须有一道「境内法务或合规负责人签字」的关卡——它不是形式，而是把责任落到能够判断中国法的人身上。

法条依据

与相邻概念的区别

第一，与商业数据出境的区别。 商业出境解决的是「业务需要，把数据传给境外合作方」，路径是安全评估、认证、标准合同加豁免情形；协助程序解决的是「外国公权力机关要材料」，路径是主管机关批准或者同意。四条具体差异：发起方不同（企业主动对境外机构被动）；依据不同（第三十八条对第四十一条、数据安全法第三十六条）；可否豁免不同（商业出境有场景豁免，协助程序没有）；同意主体不同（企业对主管机关）。用商业出境程序处理司法取证请求，是这一领域风险最高的一类错误。

第二，与「境外监管机构的常规检查」的区别。 境外监管机构对本企业境外分支机构的常规检查，与「在境内进行调查取证」不是一回事。证券法第一百七十七条第二款明确禁止境外证券监管机构在境内直接调查取证；如果境外监管要求境内主体提交与证券业务活动有关的文件和资料，就需要证监会与国务院有关主管部门同意。判断的关键是材料在哪个法域、由哪个主体提供：境外分支机构在境外持有的材料，与境内主体持有的材料，适用规则不同。

第三，与「国际刑事司法协助」的区别。 协助程序是「国家之间」的协助，请求方是外国中央机关，我方由主管机关审查并协助；企业在这一程序里不是请求方也不是被请求方，而是被协助的对象或者材料持有人。实务意义在于：企业不能自己充当「协助通道」——它既不能替外国机构向我方申请，也不能替我方作出同意的决定。

第四，与「跨境合规调查」的区别。 企业内部为应对境外诉讼开展的跨境合规调查（如由境外律所主导的内部调查），如果调查中要把境内数据传输给境外律所，仍然构成出境。「律师工作成果保护」「调查保密」这类境外法上的抗辩，不能对抗我国的出境规则。正确做法是先做数据分类，把境内数据留在境内处理，只就必要部分走相应程序。

第五，与「阻断规则」的区别。 部分法域有阻断性立法，禁止本国主体服从外国特定领域的取证要求，我国在个别领域也有类似机制。阻断规则的适用需要具体规范支撑，本词条不展开、不引条号。实务中可以把握的一个基本原则是：不能主动配合外国机构在境内取证；遇到可能触及阻断规则的情形，先向主管机关请示。

第六，与「企业主动向境外提供」的区别。 主动提供的情形常见于境外上市披露、集团合并报表、境外审计。这类提供走商业出境程序，但如果审计底稿、监管问询回复涉及境内数据，实践中往往还要走监管合作机制。判断分水岭是「谁要求」：企业自己决定提供的，是主动提供；对方以强制力要求的，是调取。

实操指引

第一步，收到函件当天做三件事，先别回函。 一是固定原件（含信封、送达凭证、邮件头信息）；二是内部上报（法务、合规、负责人，不要只在业务部门内部消化）；三是判断主体性质（司法、执法、商业）。回函是最容易出错的动作：一句「我们正在核实」，在境外程序里可能被解释为承认材料在境内且愿意提供。期限紧张不是不回函的理由，正确的做法是回一封不含实体承诺的程序性复函，说明「本函所涉事项依中国法需经主管机关批准，我方正在依程序办理」。

第二步，把请求翻译成「材料清单」，逐项标注性质。 每一份被要求的材料标注三件事：是否含个人信息、是否属于重要数据、是否是证据材料。这个标注决定走哪条路：含个人信息或重要数据的走出境规则；属于证据材料的走协助程序；两者都沾的，按更严的那条走。标注结果要形成书面记录，它既是内部决策依据，也是事后说明「为什么这样处理」的材料。

第三步，向主管机关提出申请，把「正在办」变成书面事实。 按材料性质与行业归属确定主管机关：涉及数据的，网信部门；涉及证券业务的，证监会与国务院有关主管部门；涉及刑事程序的，按国际刑事司法协助的渠道。申请材料通常需要：请求方主体与程序说明、来函原件与翻译件、材料清单与性质标注、拟提供的范围与必要性说明、数据安全与个人信息保护措施。这一步最忌拖：境外期限与我方程序往往冲突，越早启动越有解释空间。

第四步，同步与境外沟通，把「中国法限制」变成可核验的事实。 向境外法院或者监管机构提交的材料应当包括：中国法的相关条文（第四十一条、数据安全法第三十六条、证券法第一百七十七条）、已向主管机关提出的申请及受理凭证、因程序所需的时间说明。实务经验是：境外机构对「法律禁止」的抗辩通常不买账，但对「已进入官方程序、有受理凭证」的接受度高得多。

第五步，全程留痕，形成一份可交付的合规档案。 至少包括：来函原件与翻译、主体性质判断意见、材料清单与性质标注、内部审批记录、主管机关申请与答复、对境外沟通往来、最终提供范围与依据。这份档案有三个用途：应对境内监管检查；在境外程序中主张善意；在内部追责时划清责任。

第六步，个人一侧遇到同样问题，路径略有不同。 个人收到境外机构的取证要求（如境外诉讼中的证人取证、境外平台的资料调取），同样不能直接提供涉及他人的数据；可以先书面要求对方说明依据与用途，再向主管机关咨询。需要正式回函的，可参考律师函（通用范本）的结构，把事实、依据、请求三段写清；涉及个人信息权益受损的，证据准备可参照个人信息被侵害：要收集哪些证据？。

常见问题